chore(repo): структура репозитория, лицензия AGPL-3.0 и политика безопасности

- структура по AGENT.md §12: cmd/, internal/, web/, deploy/, queries/, docs/
- LICENSE: полный текст AGPL-3.0-or-later
- NOTICE: атрибуция референсов (Spacebar, Fermo) и сторонних компонентов
- SECURITY.md и .well-known/security.txt: правила раскрытия уязвимостей
- .env.example: все переменные окружения с дефолтами
- .gitignore/.dockerignore/.editorconfig/.gitattributes/.gitleaks.toml

.env.example

@@ -0,0 +1,36 @@
+# glchat — пример окружения приложения.
+# Реальный .env генерирует deploy/install.sh (права 600, не коммитится).
+# Переменные приложения (читает internal/config), дефолты — в скобках.
+
+# --- инстанс ---
+DOMAIN=chat.example.com                 # домен инстанса (localhost)
+FILES_DOMAIN=files.chat.example.com     # поддомен пользовательского контента (files.$DOMAIN)
+INSTANCE_NAME=glchat                    # название инстанса в /api/v1/meta
+LISTEN_ADDR=127.0.0.1:8080              # адрес прослушивания (127.0.0.1:8080)
+DATA_DIR=/opt/glchat/data               # данные: db/, files/, backups/
+WEB_ROOT=/app/web                       # собранный веб-клиент (SPA)
+DATABASE_PATH=                          # по умолчанию $DATA_DIR/db/glchat.db
+
+# --- логи ---
+LOG_LEVEL=info                          # debug | info | warn | error
+LOG_FORMAT=json                         # json | text
+
+# --- SQLite (профиль производительности, AGENT.md 10.10) ---
+SQLITE_READ_POOL=4                      # размер пула чтения (2 для lite)
+SQLITE_CACHE_SIZE=-8000                 # КБ, отрицательное значение = КиБ (8 МБ)
+SQLITE_MMAP_SIZE=134217728              # 128 МБ
+GOMAXPROCS=2                            # ограничение CPU для Go-рантайма (1 для lite)
+
+# --- лимиты ---
+MAX_UPLOAD_SIZE=26214400                # байт, по умолчанию 25 МБ (профиль)
+SHUTDOWN_TIMEOUT_SECONDS=20             # graceful shutdown
+DB_MAINTENANCE_INTERVAL_SECONDS=21600   # PRAGMA optimize раз в 6 часов
+
+# --- секреты (генерируются установщиком, никогда не коммитить) ---
+SESSION_PEPPER=                         # HMAC-pepper перед Argon2id
+MASTER_KEY=                             # AES-256-GCM для PII (hex, 32 байта)
+TOTP_ENCRYPTION_KEY=                    # шифрование TOTP-секретов
+WEBHOOK_SECRET=                         # подпись вебхуков
+LIVEKIT_API_KEY=                        # ключ LiveKit (фаза 3)
+LIVEKIT_API_SECRET=                     # секрет LiveKit (фаза 3)
+AGE_RECIPIENT=                          # публичный age-ключ для шифрования бэкапов